APT 33 แฮกเกอร์อิหร่านบุกโจมตีอุตสาหกรรมอวกาศด้วยมัลแวร์ตัวใหม่ Tickler
กลุ่มแฮกเกอร์ที่ได้รับการสนับสนุนจากรัฐบาลอิหร่าน หรือที่รู้จักกันในชื่อ APT 33 (หรือชื่อที่ Microsoft เรียกว่า Peach Sandstorm) ยังคงสร้างความกังวลให้กับความมั่นคงปลอดภัยทางไซเบอร์ทั่วโลก โดยล่าสุดมีการตรวจพบการพัฒนาเครื่องมือโจมตีที่ซับซ้อนขึ้น เพื่อมุ่งเป้าไปที่อุตสาหกรรมเชิงกลยุทธ์ โดยเฉพาะด้านอวกาศและการสื่อสาร
จากการรายงานของ Microsoft Threat Intelligence พบว่ากลุ่มนี้ได้พัฒนา Backdoor (ประตูหลัง ซึ่งเป็นช่องทางที่แฮกเกอร์สร้างขึ้นเพื่อให้สามารถเข้าถึงระบบเป้าหมายได้จากระยะไกลโดยไม่ได้รับอนุญาต) ตัวใหม่ที่ชื่อว่า "Tickler" เพื่อใช้ในการจารกรรมข้อมูลและควบคุมระบบเครือข่ายของเหยื่อ
กลยุทธ์การโจมตี: จากวิธีพื้นฐานสู่มัลแวร์เฉพาะทาง
แม้ว่า Peach Sandstorm จะมีชื่อเสียงในการใช้เทคนิคที่ไม่ซับซ้อนอย่าง Password Spraying (การสุ่มใช้รหัสผ่านที่พบบ่อยหรือรหัสที่หลุดออกมา ลองกับหลายๆ บัญชีผู้ใช้จนกว่าจะเข้าได้สักบัญชีหนึ่ง) แต่การมาถึงของ Tickler แสดงให้เห็นถึงความพยายามในการยกระดับเครื่องมือเพื่อบรรลุวัตถุประสงค์ที่เฉพาะเจาะจงมากขึ้น
กระบวนการโจมตีมักเริ่มต้นจากการเข้าถึงระบบในขั้นแรกผ่านการสุ่มรหัสผ่าน หรือการใช้ Social Engineering (วิศวกรรมสังคม หรือการหลอกล่อให้เหยื่อเปิดเผยข้อมูลหรือติดตั้งซอฟต์แวร์อันตราย) หลังจากนั้นจึงทำการติดตั้งมัลแวร์ Tickler เพื่อสร้างการเชื่อมต่อระยะไกล
นอกจากนี้ นักวิจัยยังพบว่ากลุ่มแฮกเกอร์ได้ใช้บัญชี Azure ของตนเองในการเข้าไปจัดการโครงสร้างพื้นฐานคลาวด์ Azure ของเหยื่อ เพื่อให้สามารถควบคุมระบบเป้าหมายได้อย่างสมบูรณ์
เป้าหมายหลักและขอบเขตการโจมตี
ในช่วงเดือนเมษายนถึงกรกฎาคมที่ผ่านมา มีการตรวจพบการใช้ Tickler โจมตีกลุ่มเป้าหมายในหลายภาคส่วน โดยเน้นไปที่หน่วยงานที่มีความสำคัญระดับชาติและอุตสาหกรรมเทคโนโลยีขั้นสูง
- อุตสาหกรรมอวกาศและดาวเทียม: เป็นเป้าหมายหลักในการเก็บรวบรวมข้อมูลข่าวกรอง
- โครงสร้างพื้นฐานสำคัญ: รวมถึงอุปกรณ์สื่อสาร และกลุ่มธุรกิจน้ำมันและก๊าซ
- หน่วยงานรัฐบาล: พบการโจมตีหน่วยงานระดับรัฐและรัฐบาลกลางในสหรัฐอเมริกา และสหรัฐอาหรับเอมิเรตส์
- ภาคการศึกษาและป้องกันประเทศ: มีการใช้ Password Spraying โจมตีองค์กรในสหรัฐฯ และออสเตรเลีย เพื่อจัดหาโครงสร้างพื้นฐานและจารกรรมข้อมูล
การปลอมตัวผ่านโซเชียลมีเดียเพื่อจารกรรม
นอกจากการใช้มัลแวร์แล้ว Peach Sandstorm ยังใช้ LinkedIn เป็นเครื่องมือในการทำ Social Engineering มาตั้งแต่เดือนพฤศจิกายน 2021 จนถึงกลางปี 2024 โดยการสร้างโปรไฟล์ปลอมที่อ้างว่าเป็นนักศึกษา, นักพัฒนาซอฟต์แวร์ หรือผู้จัดการฝ่ายสรรหาบุคลากร ซึ่งระบุว่าพำนักอยู่ในสหรัฐฯ และยุโรปตะวันตก เพื่อเข้าหาเป้าหมายในภาคการศึกษาระดับสูงและอุตสาหกรรมดาวเทียม ซึ่งปัจจุบันบัญชีเหล่านี้ถูกระงับการใช้งานแล้ว
| หัวข้อ | รายละเอียด |
|---|---|
| ชื่อกลุ่ม | APT 33 / Peach Sandstorm |
| เครื่องมือใหม่ | Tickler (Custom Backdoor) |
| เทคนิคที่ใช้ | Password Spraying, Social Engineering, Azure Manipulation |
| เป้าหมายหลัก | ดาวเทียม, อวกาศ, รัฐบาล, ป้องกันประเทศ, น้ำมันและก๊าซ |
| พื้นที่ที่ได้รับผลกระทบ | สหรัฐอเมริกา, ออสเตรเลีย, สหรัฐอาหรับเอมิเรตส์ และทั่วโลก |
ข้อเท็จจริงสำคัญ
- ประสบการณ์ยาวนาน: APT 33 ปฏิบัติการจารกรรมข้อมูลมานานกว่า 10 ปี
- ความยืดหยุ่น: ใช้ทั้งวิธี Low-tech (สุ่มรหัสผ่าน) และ High-tech (มัลแวร์เฉพาะทาง) ควบคู่กัน
- เป้าหมายเชิงกลยุทธ์: มุ่งเน้นอุตสาหกรรมอวกาศและดาวเทียมอย่างต่อเนื่อง ไม่ใช่ครั้งแรกที่โจมตีกลุ่มนี้
- การขยายตัว: มีการโจมตีองค์กรหลายพันแห่งผ่านวิธี Password Spraying ตั้งแต่กุมภาพันธ์ 2023
คำถามที่พบบ่อย
มัลแวร์ Tickler คืออะไรและทำงานอย่างไร?
Tickler คือมัลแวร์ประเภท Backdoor ที่ถูกพัฒนาขึ้นโดยเฉพาะโดยกลุ่ม Peach Sandstorm เพื่อให้แฮกเกอร์สามารถเข้าถึงและควบคุมระบบเครือข่ายของเหยื่อจากระยะไกลได้ หลังจากที่สามารถเจาะเข้าสู่ระบบในขั้นแรกได้สำเร็จ
Password Spraying แตกต่างจากการเดารหัสผ่านทั่วไปอย่างไร?
แทนที่จะลองหลายรหัสผ่านกับบัญชีเดียว (ซึ่งอาจทำให้บัญชีถูกล็อก) Password Spraying คือการนำรหัสผ่านที่พบบ่อยเพียงไม่กี่ชุด ไปลองใช้กับบัญชีผู้ใช้จำนวนมหาศาล เพื่อหาบัญชีที่ใช้รหัสผ่านที่คาดเดาได้ง่าย
กลุ่ม Peach Sandstorm มีเป้าหมายอะไรในการโจมตีอุตสาหกรรมอวกาศ?
เป้าหมายหลักคือการเก็บรวบรวมข้อมูลข่าวกรอง (Intelligence Collection) และการจารกรรมข้อมูลเชิงกลยุทธ์จากองค์กรด้านดาวเทียมและป้องกันประเทศ
ผู้ใช้งานทั่วไปควรระวังอะไรจากการโจมตีรูปแบบนี้?
ควรระมัดระวังการรับคำขอเป็นเพื่อนหรือการติดต่อจากบุคคลที่ไม่รู้จักบน LinkedIn ที่มีโปรไฟล์ดูน่าเชื่อถือเกินจริง และควรใช้การยืนยันตัวตนหลายขั้นตอน (Multi-Factor Authentication) เพื่อป้องกันการโจมตีแบบ Password Spraying
